自分自身から届いた「重要なお知らせ」は詐欺！誰でも書き換えられる送信者アドレスの恐ろしさと、数値文字参照×Azure偽装ホスティングの手口を解析

HL-META: date=2026-09-14 | brand=受信者自身の組織（なりすまし、社名非公開） | sender_geo=チリ（家庭用ケーブル回線） | site_geo=unknown（Azure静的ホスティング、CDN経由のため断定不可） | spf=softfail | dkim=none | cloaking=unknown

「差出人」の欄に自分自身のメールアドレスが表示されていたら、多くの方は思わずドキッとするのではないでしょうか。今回届いたのは、まさにそうした心理を突く一通でした。しかも中身を細かく見ていくと、随所に手の込んだ仕掛けが隠されていました。

📧 「自分から届いた」ように見せる仕掛け

実際に届いたメールの画面がこちらです。

まず知っておいていただきたいのは、メールの「差出人（From）」欄は、実は誰でも自由に好きなアドレスを書き込めるという基本的な事実です。手紙の封筒に書く差出人名を自分で自由に決められるのと同じで、システム上「本当にその人が送った」ことを保証するものではありません。今回のメールは、この仕組みを悪用し、受信者ご本人のメールアドレスをそのまま差出人・宛先の両方に書き込むことで、「あなた自身の操作についての社内からの警告メールだ」と信じ込ませようとしていました。

ヘッダーを解析したところ、実際の発信地はチリの家庭用ケーブルインターネット回線であることが分かりました。SPF（送信ドメイン認証）の判定も「Softfail」となっており、受信側のシステムはこの時点で「正規の送信元ではない」ことを検知していました。

🔍 「アカユント」「アクティヒティ」——1文字だけ違う巧妙な変装

よく見ると、本文中の「アカウント」「アクティビティ」という単語が、実は「アカユント」「アクティヒティ」と、それぞれ1文字だけ形の似たカタカナ（「ウ」→「ユ」、「ビ」→「ヒ」）に差し替えられている箇所がありました。パッと見ただけでは気づきにくいレベルの、非常に細かい変装です。

🧩 本文をびっしり埋め尽くす数値文字参照

さらにヘッダー・本文のソースを詳しく確認したところ、メール本文の日本語がほぼすべて「数値文字参照」と呼ばれる特殊なコードで書かれていることが分かりました。これはHTMLとして正しく表示されれば普通の日本語になりますが、ソースやプレーンテキスト形式でそのまま見ると、次のような姿になります。

日本語の文字を1文字ずつ、このような数値のコードに変換して書き込むことで、メール本文の中に検索可能な形の日本語の文字列を一切残さないようにしています。内容ベースでキーワードを検知するタイプのフィルターを、根本からすり抜けるための工夫と考えられます。ゼロ幅文字を使った過去の事例や、今回の1文字差し替えとあわせて、攻撃者側がフィルター対策にかなり手間をかけていることがうかがえます。

🛡️ 二重にブロックされていたのに、その先には……

本文中の「アカウントアクティビティを確認する」というリンク先へアクセスしたところ、まずウイルスバスタークラウドが「安全ではない可能性がある」として警告を表示しました。

続けてGoogle Chromeのセーフブラウジング機能も、独立して「危険なサイト」という警告を表示しました。

誘導先のドメインは「simozeduz.z20.web.core.windows.net」で、これはMicrosoft Azureが提供する無料の静的サイトホスティング機能です。正規のマイクロソフトのドメインとSSL証明書を手に入れられるため、パッと見の信頼度を上げる目的で悪用されていると考えられます。2つの異なるセキュリティ機能がそれぞれ独立して危険と判定していたことからも、すでに広く報告済みの悪質なサイトであることがうかがえます。

両方の警告を越えた先に表示されたのは、個人情報の入力フォームではなく、Windows Defenderの警告画面を模した「サポート詐欺」でした。

「悪意のあるトロイの木馬を検出」という偽の警告とともに、偽のマイクロソフトサポート窓口を名乗る電話番号が表示されています。この番号に電話をかけてしまうと、遠隔操作ソフトのインストールや、高額な「サポート料金」の請求など、金銭的な被害につながる典型的な電話詐欺の手口です。

✅ 注意点と対処法

• 差出人のアドレスが自分自身や身近な相手であっても、それだけで安全とは判断しないでください。差出人欄は誰でも自由に書き換えられます。
• パソコン画面に「トロイの木馬を検出」「テクニカルサポートへお電話ください」といった警告が突然表示されても、記載された電話番号には絶対に電話しないでください。本物のWindowsやセキュリティソフトが、警告画面から直接電話を求めることはありません。
• ブラウザやセキュリティソフトが「危険なサイト」と警告した場合は、絶対に先へ進まず、すぐにページを閉じてください。
• 身に覚えのない「アカウント活動」に関する通知は、メール内のリンクからではなく、公式サイトやアプリから直接ログイン状況を確認しましょう。

📢 まとめ

今回のメールは、「自分自身から届いたように見せる」という心理的な仕掛けに加えて、1文字だけ形の似た文字に差し替える変装、本文全体を数値コードで埋め尽くす難読化と、複数のフィルター回避技術が組み合わさっていました。さらに2つのセキュリティ機能の警告を越えた先には、正規サービスを悪用したサポート詐欺が待ち構えているという、手数のかかった一例です。身近な方にもこの記事のURLを共有して、注意を呼びかけてあげてください。